Securitatea informației și GDPR în sectorul financiar

În finanțe, datele sunt materia primă. Un cont, un istoric de tranzacții, un scoring de credit, un CNP, sunt informații care, în mâini greșite, duc direct la fraudă. De asta sectorul financiar e printre cele mai atacate din România și, în paralel, printre cele mai reglementate. Un client îți iartă greu o scurgere de date bancare. Iar autoritățile, la fel.

Vestea bună: cerințele nu sunt atât de complicate pe cât par. Sunt câteva seturi de reguli care, puse cap la cap, spun cam același lucru, să știi ce date ai, să le aperi serios și să poți dovedi asta.

Ce reguli se aplică, pe scurt

O bancă sau un IFN din România trebuie să respecte, în practică, trei seturi de reguli, plus cerințele autorităților care le supraveghează.

• GDPR — protecția datelor personale ale clienților și angajaților. Aici intră motivul legal pentru care folosești datele, drepturile oamenilor, anunțarea unei breșe în 72 de ore și amenzi de până la 4% din cifra de afaceri globală.
• DORA — Regulamentul privind reziliența operațională digitală, aplicabil de la 17 ianuarie 2025. Cere entităților financiare să-și gestioneze riscul IT, să raporteze incidentele majore, să testeze periodic rezistența sistemelor și să țină sub control furnizorii externi de IT.
• NIS2 — multe firme din finanțe intră și sub directiva de securitate cibernetică, adusă în România printr-o lege proprie. Unde DORA intră în detaliu, NIS2 acoperă regulile generale de securitate.
• Cerințele BNR și ASF — recomandări și norme pe zona de risc IT, pe care un inspector le verifică la control.

În loc să le iei separat, mai simplu e să le vezi ca straturi peste aceeași bază: un mod de a ține securitatea informației sub control în fiecare zi.

DORA, pe înțelesul unui director financiar

DORA a schimbat tonul discuției. Până la el, rezistența sistemelor IT era doar o recomandare. Acum e obligație directă, fără să mai fie nevoie de o lege românească separată, și se aplică unei game largi de firme: bănci, IFN-uri, asigurători, firme de investiții, procesatori de plăți, furnizori de servicii cripto.

Patru lucruri pe care le cere concret:

• un mod clar de a gestiona riscul IT, de care răspunde conducerea, nu lăsat doar în curtea echipei tehnice;
• raportarea incidentelor majore către autoritate, în termene stricte;
• testarea rezistenței sistemelor, inclusiv teste de penetrare pentru entitățile mari;
• controlul furnizorilor terți, pentru că un atac asupra unui procesator de plăți te afectează direct.

Acel ultim punct prinde multe companii nepregătite. Dacă externalizezi cloud-ul, plățile sau suportul IT, riscul lor devine riscul tău, și trebuie să-l ai în contracte și în plan.

Ce se întâmplă când lucrurile merg prost

Cele mai frecvente incidente într-o instituție financiară nu sunt atacuri spectaculoase, ci lucruri banale. Un angajat care trimite un fișier cu date de clienți la adresa greșită. Un furnizor cu acces prea larg la sisteme. O parolă refolosită care ajunge într-o scurgere publică. Un laptop pierdut, fără criptare.

Sub GDPR, amenda poate urca la 20 de milioane de euro sau 4% din cifra de afaceri. Dar într-o bancă, problema reală vine după amendă: clienții care își mută banii și un titlu de presă pe care îl cauți pe Google ani la rând. Reputația se reconstruiește mai greu decât se plătește o sancțiune.

Pașii practici pentru o instituție financiară

Conformitatea reală nu începe cu cumpărarea unui produs de securitate. Începe cu o privire sinceră asupra situației tale.

• Lista datelor și a sistemelor. Ce date personale și financiare ai, unde sunt, cine le accesează și cu ce drept. Fără asta, orice altceva e ghiceală.
• Analiza GAP și evaluarea riscurilor. Compari ce ai cu ce cer GDPR, DORA și NIS2, și pui pe primul loc ce e mai riscant, nu ce e la modă.
• Regulile interne. Cine are acces, cât timp se păstrează datele, cum se șterg, ce se criptează, cum se tratează un incident, scrise pe situația ta, nu copiate de pe internet.
• Controlul furnizorilor. Clauze de securitate în contracte, drept de audit, plan pentru ce faci dacă furnizorul cade.
• Oamenii. Cele mai multe incidente pleacă de la o eroare umană. Training adaptat pe roluri, de la casierie la conducere, schimbă mai mult decât un firewall nou.
• Testarea și monitorizarea. Simulări de incident, teste de penetrare, audit periodic. Securitatea nu e un proiect cu dată de final, e o rutină.

Un program ca acesta e exact ceea ce gestionezi într-o singură platformă cu askGDPR: registre, evaluări de risc, politici și evidența incidentelor, într-un loc unde poți demonstra conformitatea când vine controlul. Pentru partea de standarde, vezi și serviciul de securitate a informației și auditurile și testările.

Întrebări frecvente